Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\.exe] '' = 'exefile'
- [<HKLM>\SOFTWARE\Classes\exefile\shell\open\command] '' = '"%1" %*'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\nird\iexplore.exe' STOP "noterminate"
- '%TEMP%\RarSFX0\nird\iexplore.exe' /pid=3264
- '%TEMP%\RarSFX0\nird\iexplore.exe' /pid=3316
- '%TEMP%\RarSFX0\nird\iexplore.exe' /pid=3096
- '%TEMP%\RarSFX0\h\explorer.exe' /pid=2948
- '%TEMP%\RarSFX0\procs\explorer.exe' STOP "AdbUpd"
- '%TEMP%\RarSFX0\h\iexplore.exe' /pid=2992
- '%TEMP%\RarSFX0\h\iexplore.exe' win close stitle "Antivirus Soft"
- '%TEMP%\RarSFX0\nird\iexplore.exe' /pid=3420
- '%TEMP%\RarSFX0\nircmd.exe' win close stitle "Enterprise Suite"
- '%TEMP%\RarSFX0\nircmd.exe' win close stitle "Security Central"
- '%TEMP%\RarSFX0\h\iexplore.exe' win close stitle "Security Tool"
- '%TEMP%\RarSFX0\procs\iexplore.exe' /pid=3348
- '%TEMP%\RarSFX0\h\iexplore.exe' win close stitle "Virus Protection"
- '%TEMP%\RarSFX0\h\iexplore.exe' /pid=3372
- '%TEMP%\RarSFX0\swreg.exe' query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v ProductName
- '%TEMP%\RarSFX0\sed.exe' "/.*\t/!d;s///"
- '%TEMP%\RarSFX0\swreg.exe' export "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce" curo.reg
- '%TEMP%\RarSFX0\nircmd.exe' WAIT 35000
- '%TEMP%\RarSFX0\h\iexplore.exe' prep.bat
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe
- '%TEMP%\RarSFX0\procs\iexplore.exe'
- '%TEMP%\RarSFX0\swreg.exe' export "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce" lmro.reg
- '%TEMP%\RarSFX0\userinit.exe' STOP "XPAntivirusFilter"
- '%TEMP%\RarSFX0\h\explorer.exe' STOP "XPAntivirusFilter"
- '%TEMP%\RarSFX0\procs\iexplore.exe' STOP "AntipWinsx32_"
- '%TEMP%\RarSFX0\swreg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx"
- '%TEMP%\RarSFX0\swreg.exe' export "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx" lmroe.reg
- '%TEMP%\RarSFX0\swreg.exe' delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce"
- '%TEMP%\RarSFX0\swreg.exe' delete "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce"
- '%TEMP%\RarSFX0\swreg.exe' import rkill.reg
- '%TEMP%\RarSFX0\pev.exe' -k "explorer.exe"
- '%TEMP%\RarSFX0\nircmd.exe' /pid=764
- '%TEMP%\RarSFX0\pev.exe' -k "antivirus plus*"
- '%TEMP%\RarSFX0\pev.exe' -k *sysguard.exe
- '%TEMP%\RarSFX0\pev.exe' -k *sftav.exe
- '%TEMP%\RarSFX0\pev.exe' -k *onin.exe
- '%TEMP%\RarSFX0\swreg.exe' sysrefresh
- '%TEMP%\RarSFX0\swreg.exe' s/\\??\\// %TEMP%\rks1.log
- '%TEMP%\RarSFX0\swreg.exe' /pid=2532
- '%TEMP%\RarSFX0\procs\iexplore.exe' /pid=2644
- '%TEMP%\RarSFX0\swreg.exe' /pid=2500
- '%TEMP%\RarSFX0\sed.exe' /pid=2456
- '%TEMP%\RarSFX0\swreg.exe'
- '%TEMP%\RarSFX0\swreg.exe' plist %TEMP%\rke1.log
- '%TEMP%\RarSFX0\pev.exe' -k *tssd.exe
- '%TEMP%\RarSFX0\pev.exe' -k winlogon32.exe
- '%TEMP%\RarSFX0\h\iexplore.exe' -k smss32.exe
- '%TEMP%\RarSFX0\pev.exe' -k "C:\NetworkControl\*.exe"
- '%TEMP%\RarSFX0\procs\iexplore.exe' /pid=3480
- '%TEMP%\RarSFX0\h\iexplore.exe' win close stitle "Security essentials"
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k "%TEMP%\*"
- '%TEMP%\RarSFX0\procs\iexplore.exe' /pid=3720
- '%TEMP%\RarSFX0\h\iexplore.exe' -k antispyshield.exe f
- '%TEMP%\RarSFX0\procs\iexplore.exe' /pid=3824
- '%TEMP%\RarSFX0\h\iexplore.exe' -k * -preg#\\[0-9]+\.exe$#
- '%TEMP%\RarSFX0\procs\iexplore.exe' /pid=3788
- '%TEMP%\RarSFX0\h\iexplore.exe' -k restore.exe
- '%TEMP%\RarSFX0\procs\iexplore.exe' /pid=3756
- '%TEMP%\RarSFX0\h\iexplore.exe' -k "%ALLUSERSPROFILE%\*"
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe RIMPORT rkill.reg
- '%TEMP%\RarSFX0\procs\iexplore.exe' RIMPORT rkill.reg
- '%TEMP%\RarSFX0\h\iexplore.exe' nird\iexplore.exe sysrefresh
- '%TEMP%\RarSFX0\nird\iexplore.exe' win close stitle "Security essentials"
- '%TEMP%\RarSFX0\nird\iexplore.exe' win close stitle "Security Tool"
- '%TEMP%\RarSFX0\nird\iexplore.exe' win close stitle "Enterprise Suite"
- '%TEMP%\RarSFX0\nird\iexplore.exe' win close stitle "Security Central"
- '%TEMP%\RarSFX0\nird\iexplore.exe' sysrefresh
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k "C:\NetworkControl\*.exe"
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k "%TEMP%\*" and not "<Полный путь к вирусу>"
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k "%TEMP%\*" and not "<Полный путь к вирусу>"
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k "C:\NetworkControl\*.exe"
- '%TEMP%\RarSFX0\h\iexplore.exe' sv.vbs
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k "<LS_APPDATA>\*.exe"
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k "<LS_APPDATA>\*.exe"
- '%TEMP%\RarSFX0\procs\iexplore.exe' plist %TEMP%\rks1.log
- '%TEMP%\RarSFX0\h\explorer.exe' procs\explorer.exe -loadline"extra.dat" and not "<Полный путь к вирусу>"
- '%TEMP%\RarSFX0\procs\explorer.exe' -loadline"extra.dat" and not "<Полный путь к вирусу>"
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe plist %TEMP%\rks1.log
- '%TEMP%\RarSFX0\userinit.exe' shexec install s.inf
- '%TEMP%\RarSFX0\h\explorer.exe' procs\explorer.exe plist %TEMP%\rks1.log
- '%TEMP%\RarSFX0\procs\explorer.exe' plist %TEMP%\rks1.log
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -loadline"extra.dat" and not "<Полный путь к вирусу>"
- '%TEMP%\RarSFX0\nird\iexplore.exe' win close stitle "Smart Security"
- '%TEMP%\RarSFX0\nird\iexplore.exe' win close stitle "Antivirus Soft"
- '%TEMP%\RarSFX0\nird\iexplore.exe' win close stitle "Virus Protection"
- '%TEMP%\RarSFX0\nird\iexplore.exe' win close stitle "Antivirus Suite"
- '%TEMP%\RarSFX0\procs\iexplore.exe' -loadline"extra.dat" and not "<Полный путь к вирусу>"
- '%TEMP%\RarSFX0\winlogon.exe' shexec install s.inf
- '%TEMP%\RarSFX0\nird\iexplore.exe' shexec install s.inf
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k *sysguard.exe
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k *sftav.exe
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k *sftav.exe
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k *sysguard.exe
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k antispyshield.exe
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k * -preg#\\[0-9]+\.exe$#
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k * -preg#\\[0-9]+\.exe$#
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k *onin.exe
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k :\%PROGRAM_FILES%\AntiVirus Plus\*.exe
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k "*.tmp.exe"
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k "*.tmp.exe"
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k :\%PROGRAM_FILES%\AntiVirus Plus\*.exe
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k *onin.exe
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k "antivirus plus*"
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k "antivirus plus*"
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k smss32.exe
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k smss32.exe
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k restore.exe
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k winlogon32.exe
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k *tssd.exe
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k *tssd.exe
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k winlogon32.exe
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k restore.exe
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k "%HOMEPATH%\*" and not "<Полный путь к вирусу>"
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k "%HOMEPATH%\*" and not "<Полный путь к вирусу>"
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k antispyshield.exe
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k "ALLUSE~1\*"
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k "%ALLUSERSPROFILE%\*"
- '%TEMP%\RarSFX0\procs\iexplore.exe' -k "%ALLUSERSPROFILE%\*"
- '%TEMP%\RarSFX0\h\iexplore.exe' procs\iexplore.exe -k "ALLUSE~1\*"
Запускает на исполнение:
- '<SYSTEM32>\net.exe' STOP "userinit"
- '<SYSTEM32>\runonce.exe' /pid=2988
- '<SYSTEM32>\net.exe' STOP "CbEvtSvc"
- '<SYSTEM32>\net1.exe' STOP "userinit"
- '<SYSTEM32>\net.exe' STOP "AdbUpd"
- '<SYSTEM32>\net1.exe' STOP "HTGrdEngine"
- '<SYSTEM32>\net.exe' STOP "HTGrdEngine"
- '<SYSTEM32>\grpconv.exe' /pid=1560
- '<SYSTEM32>\net.exe' STOP "AntipWinsx32_"
- '<SYSTEM32>\net1.exe' STOP "CbEvtSvc"
- '<SYSTEM32>\net1.exe' s/\\??\\// %TEMP%\rke1.log
- '<SYSTEM32>\rundll32.exe' /pid=3240
- '<SYSTEM32>\rundll32.exe' /pid=2860
- '<SYSTEM32>\findstr.exe' -LIVXG:%TEMP%\rkend.log %TEMP%\rkstart.log
- '<SYSTEM32>\runonce.exe' /pid=3232
- '<SYSTEM32>\rundll32.exe' STOP "TDIDIS32.sys"
- '<SYSTEM32>\runonce.exe' /pid=3116
- '<SYSTEM32>\grpconv.exe' STOP "noterminate"
- '<SYSTEM32>\net1.exe' STOP "TDIDIS32.sys"
- '<SYSTEM32>\net1.exe' STOP "Follower"
- '<SYSTEM32>\net.exe' STOP "Follower"
- '<SYSTEM32>\net1.exe' STOP "smmservice"
- '<SYSTEM32>\net.exe' STOP "smmservice"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\rkill.bat" "
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 132 %TEMP%\RarSFX0\s.inf
- '<SYSTEM32>\cmd.exe' /c prep.bat
- '<SYSTEM32>\grpconv.exe' -o
- '<SYSTEM32>\net.exe' STOP "ITGrdEngine"
- '<SYSTEM32>\net1.exe' STOP "AntiPol"
- '<SYSTEM32>\net.exe' STOP "AntiPol"
- '<SYSTEM32>\net1.exe' STOP "AntipPro2009_12"
- '<SYSTEM32>\net.exe' STOP "AntipPro2009_12"
- '<SYSTEM32>\net1.exe' STOP "WDefend"
- '<SYSTEM32>\net.exe' STOP "AntipPro2009_100"
- '<SYSTEM32>\net1.exe' STOP "ITGrdEngine"
- '<SYSTEM32>\net.exe' STOP "WDefend"
- '<SYSTEM32>\net1.exe' STOP "AntipPro2009_100"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\net1.exe
- <SYSTEM32>\rundll32.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\rks1.log
- %TEMP%\RarSFX0\sh.vbs
- %TEMP%\rkill.log
- %TEMP%\RarSFX0\ncmd.cfxxe
- %TEMP%\RarSFX0\procs\proc.dat
- %TEMP%\RarSFX0\extra.dat
- %TEMP%\RarSFX0\rkill.reg
- %TEMP%\RarSFX0\serv.dat
- %TEMP%\osname.txt
- %TEMP%\rkstart.log
- %TEMP%\rke1.log
- %WINDIR%\00D4_findstr.exe_0.ndmp
- %TEMP%\rkend.log
- %TEMP%\RarSFX0\curo.reg
- C:\rkill.log
- %TEMP%\RarSFX0\lmroe.reg
- %TEMP%\RarSFX0\lmro.reg
- %TEMP%\RarSFX0\procs\explorer.exe
- %TEMP%\RarSFX0\h\explorer.exe
- %TEMP%\RarSFX0\nird\iexplore.exe
- %TEMP%\RarSFX0\h\iexplore.exe
- %TEMP%\RarSFX0\prep.bat
- %TEMP%\RarSFX0\wl.txt
- %TEMP%\RarSFX0\s.inf
- %TEMP%\RarSFX0\rkill.bat
- %TEMP%\RarSFX0\procs\iexplore.exe
- %TEMP%\RarSFX0\userinit.exe
- %TEMP%\RarSFX0\swreg.exe
- %TEMP%\RarSFX0\nircmd.chm
- %TEMP%\RarSFX0\winlogon.exe
- %TEMP%\RarSFX0\nircmdc.exe
- %TEMP%\RarSFX0\nircmd.exe
- %TEMP%\RarSFX0\sed.exe
- %TEMP%\RarSFX0\pev.exe
Удаляет следующие файлы:
- %TEMP%\RarSFX0\swreg.exe
- %TEMP%\RarSFX0\userinit.exe
- %TEMP%\RarSFX0\winlogon.exe
- %TEMP%\RarSFX0\sed.exe
- %TEMP%\RarSFX0\serv.dat
- %TEMP%\RarSFX0\sh.vbs
- %TEMP%\RarSFX0\wl.txt
- %TEMP%\RarSFX0\nird\iexplore.exe
- %TEMP%\RarSFX0\h\explorer.exe
- %TEMP%\RarSFX0\h\iexplore.exe
- %TEMP%\RarSFX0\procs\explorer.exe
- %TEMP%\RarSFX0\procs\iexplore.exe
- %TEMP%\RarSFX0\procs\proc.dat
- %TEMP%\RarSFX0\s.inf
- %TEMP%\RarSFX0\extra.dat
- %TEMP%\RarSFX0\lmro.reg
- %TEMP%\RarSFX0\lmroe.reg
- %TEMP%\RarSFX0\ncmd.cfxxe
- %TEMP%\osname.txt
- %TEMP%\RarSFX0\curo.reg
- %TEMP%\RarSFX0\nircmd.chm
- %TEMP%\RarSFX0\prep.bat
- %TEMP%\RarSFX0\rkill.bat
- %TEMP%\RarSFX0\rkill.reg
- %TEMP%\RarSFX0\nircmd.exe
- %TEMP%\RarSFX0\nircmdc.exe
- %TEMP%\RarSFX0\pev.exe
Другое:
Ищет следующие окна:
- ClassName: 'OleMainThreadWndClass' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: 'CSCHiddenWindow' WindowName: '(null)'
- ClassName: 'SystemTray_Main' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'BaseBar' WindowName: 'ChanApp'
- ClassName: 'Proxy Desktop' WindowName: '(null)'
